第15章 身份認(rèn)證(新)

1、網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全技術(shù)與技術(shù)與實踐實踐（第（第2版）版） 清華大學(xué)出版社清華大學(xué)出版社第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 15.1 身份證明概述防止身份欺詐通信和數(shù)據(jù)系統(tǒng)的安全性計算機的訪問和使用安全區(qū)的出入 熱點實現(xiàn)安全、準(zhǔn)確、高效和低成本的數(shù)字化認(rèn)證15.1.1 身份欺詐的方式象棋大師問題Mafia欺詐恐怖分子欺詐多身份欺詐15.1

2、.2 身份證明系統(tǒng)的組成出示證件的人檢驗證件的合法性和正確性竊聽并偽裝示證者騙取驗證者的信任必要時，有第四方參與，即可信者，參與糾紛調(diào)解。身份認(rèn)證具有實時性，證實實體本身；消息認(rèn)證不具時間性，除認(rèn)證消息的合法和可靠還要知道其含義。15.1.2 身份證明系統(tǒng)的要求 1.最大可能正確識別合法示證者5.通信有效性 3.最大可能防止攻擊者偽裝欺騙 4.計算有效性 2.不具有可傳遞性 10.可證明安全性 6.秘密參數(shù)能安全存儲 8.第三方實時參與 7.交互識別 9.第三方的可信性 15.1.3 身份證明的基本分類 （Identity recognition） （Identity verification

3、） 你是否是你所聲稱的你？我是否知道你是誰？15.1.4 實現(xiàn)身份證明的基本途徑通過這三者之一或組合實現(xiàn)所知：個人掌握的知識，如口令，秘密所有：個人所具有的東西，如身份證、護(hù)照等個人特征：指紋、筆跡等服務(wù)質(zhì)量評價指標(biāo)：拒絕率（FRR）漏報率（FAR）第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 15.2.1 口令認(rèn)證系統(tǒng)概述定義：根據(jù)已知事物驗證身份的方法，被廣泛使用。選擇原則：易記；難以猜中或發(fā)現(xiàn)；能抵御蠻力破解攻擊。系統(tǒng)分類：（1）非保密的聯(lián)機系統(tǒng)-多個用戶共用一個口令； （2）安全性要

4、求高的系統(tǒng)-每個用戶配有專用口令；防止泄露的措施： 個人身份和口令用軟件加密，如Bell的UNIX系統(tǒng)就用加密方式。采用通行短語（Pass Phrases）代替口令，通過密鑰碾壓（Key Crunching）技術(shù)生成較短的隨機性密鑰。15.2.1 口令認(rèn)證系統(tǒng)概述（續(xù)）通常采用郵寄方式。銀行系統(tǒng)通常采用夾層信封，由計算機將護(hù)字符印在中間紙層上，只有拆封才能讀出。在使用口令時，我們還應(yīng)注意防止別人騙取口令。為了安全，系統(tǒng)常常限定嘗試輸入口令的次數(shù)。還有一個方法是詢問法（Questionaries。15.2.1 口令認(rèn)證系統(tǒng)概述（續(xù)）系統(tǒng)檢驗用戶的口令。有時需雙向驗證，用戶也要檢驗系統(tǒng)口令。15.

5、2.2 一種雙方互換口令的安全驗證方法甲方乙方甲乙分別以P、Q作為護(hù)字符。為驗證，雙方彼此知道對方的口令，并通過一個單向函數(shù)f進(jìn)行響應(yīng)。 3.口令有效期 2.限制試探次數(shù) 1.系統(tǒng)消息 8.系統(tǒng)口令的生成 4.雙口令系統(tǒng) 6.封鎖用戶系統(tǒng) 5.最小長度 7.根口令的保護(hù) 15.2.3 口令的控制措施15.2.3 口令的控制措施被檢口令與易猜中口令表逐個比較；檢驗費時；口令都有一定的可猜測性。用戶選擇口令，程序檢驗，若易于猜中須重新選擇可猜中性與安全性之間折中15.2.4 口令的安全存儲以口令加密方式存儲存儲口令的單向雜湊口令為8個字符：7bit ASCII碼（56bit）+12bit填充（用戶

6、輸入口令的時間）第一次輸入64bit全0進(jìn)行加密，再以第一次的加密結(jié)果為輸入，迭代25次最后一次變換成11個字符作為口令密文。檢驗時用戶發(fā)送ID和口令。15.2.4 口令的安全存儲本質(zhì)上是由一個隨機數(shù)生成器產(chǎn)生的，可以由安全服務(wù)器用軟件生成。一般用于第三方認(rèn)證。即使口令被截獲也難以使用。用戶需要輸入PIN碼（持卡人知道）難以用來進(jìn)行違法活動。美國的Secure Dynamics Inc.的Secure ID和RSA公司的SecurID令牌。第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 15.

7、3 個人生物特征的身份認(rèn)證技術(shù) 安全性要求高時，護(hù)字符和持證等提供的安全性不能滿足要求；新的生物統(tǒng)計學(xué)（Biometrics）方法正在成為實現(xiàn)個人身份認(rèn)證最簡單而安全的方法?？尚哦雀邆€人特征因人而異，難以偽造隨身攜帶，不易丟失已用于刑事案件偵查15.3.1 手書簽字驗證依據(jù)：每個人的簽名動作和字跡具有明顯的個性，手書簽名可作為身份驗證的可靠依據(jù)。發(fā)展：機器自動識別手書簽字的研究，是模式識別的重要課題之一。英國物理實驗室的VERISIGN系統(tǒng)IBM公司的加速度動態(tài)識別方法Cadix公司的筆跡識別系統(tǒng)（軟件Penop）不知真跡時按得到的信息隨手簽的字已知真跡時的模仿簽字或映描簽字 依據(jù)：沒有兩個人

8、（包括孿生兒）的指紋完全相同，且指紋形狀不隨時間變化，提取方便。15.3.2 指紋驗證美國Fingermatrix公司指紋閱讀機（Ridge Reader）個人接觸證實PTV-Personal Touch Verification系統(tǒng)Identix公司的Identix SystemFBI已成功將小波理論應(yīng)用于壓縮和識別指紋圖樣自動指紋身份識別系統(tǒng)（AFIS）15.3.3 語音驗證美國Texas儀器公司曾設(shè)計一個16個字集的系統(tǒng)美國AT&T公司為一種語音口令系統(tǒng)（VPS）德國漢堡的Philips公司和西柏林的Heinrich Hertz研究所合作研制了AUROS自動說話人識別系統(tǒng)語聲紋識別技術(shù)可

9、用于防止黑客進(jìn)入語音函件和電話服務(wù)系統(tǒng) 依據(jù)：每個人的語音都各有其特點，而人對于語音的識別能力是很強的，適用于個人身份認(rèn)證。發(fā)展：機器自動識別語言認(rèn)證的研究，是語言識別的重要課題之一。15.3.4 視網(wǎng)膜圖樣驗證視網(wǎng)膜血管圖樣的身份識別系統(tǒng)。系統(tǒng)的成本較高，目前僅在軍事系統(tǒng)和銀行系統(tǒng)中采用。 依據(jù)：人的視網(wǎng)膜血管圖樣（即視網(wǎng)膜脈絡(luò)）具有良好的個人特征。 依據(jù)：具有個人特征，可以提供比指紋更細(xì)致的信息。發(fā)展：視網(wǎng)膜血管圖樣的身份識別系統(tǒng)。15.3.5 虹膜圖樣驗證可用于安全入口、接入控制、信用卡、POS、ATM、護(hù)照等的身份認(rèn)證美國IriScan Inc.已研發(fā)出此種產(chǎn)品 依據(jù)：用照片識別人臉輪

10、廓（還可擴展到對人耳形狀的識別）。發(fā)展：臉型自動驗證系統(tǒng)，用圖像識別、神經(jīng)網(wǎng)絡(luò)和紅外掃描探測人臉的“熱點”進(jìn)行采樣、處理并提取圖樣信息。15.3.6 臉型驗證Mirosoft公司的符合Cyber Watch技術(shù)規(guī)范Ture Face系統(tǒng)Visionics公司的面部識別產(chǎn)品“FaceIt ARGUS”15.3.7 身份證明系統(tǒng)的設(shè)計美國國家標(biāo)準(zhǔn)局（NBS）的自動身份驗證技術(shù)的評價指南提出了下述12個需要考慮的問題：1.抗欺詐能力2.偽造容易程度；3.對設(shè)陷的敏感性；4.完成識別的時間；5.方便用戶；6.識別設(shè)備及運營的成本；7.設(shè)備使用的接口數(shù)目；8.更新所需時間和工作量；9.所需計算機系統(tǒng)的處

11、理工作；10. 可靠性和可維護(hù)性；11. 防護(hù)器材費用；12. 分配和后勤支援費用。 主要考慮設(shè)備系統(tǒng)強度用戶可接受性系統(tǒng)成本第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 15.4 一次性口令認(rèn)證背景：電子商務(wù)的普及，也成為黑客的攻擊對象。攻擊的主要方式：竊取系統(tǒng)口令文件和竊聽網(wǎng)絡(luò)連接，以獲取用戶ID和口令。攻擊的主要目的：設(shè)法得到用戶ID和用戶密碼。攻擊的主要技術(shù)： 緩沖區(qū)溢出技術(shù)、木馬技術(shù)、計算機病毒（主要是宏病毒和網(wǎng)絡(luò)蠕蟲）、分布式拒絕服務(wù)攻擊技術(shù)、窮舉攻擊（Brute Force）、

12、Sniffer報文截獲等15.4.1 挑戰(zhàn)/響應(yīng)機制-流程發(fā)起認(rèn)證請求客戶端將認(rèn)證請求發(fā)往服務(wù)器挑戰(zhàn)值用戶得到挑戰(zhàn)值輸入一次性口令設(shè)備一次性口令輸入客戶端客戶端送給服務(wù)器匹配返回認(rèn)證結(jié)果得到結(jié)果進(jìn)行后續(xù)操作缺點優(yōu)點可以保證很高的安全性需多次手工輸入，易造成失誤客戶端和服務(wù)器交互次數(shù)多服務(wù)器開銷大15.4.1 挑戰(zhàn)/響應(yīng)機制-優(yōu)缺點15.4.2 口令序列機制-原理在口令重置前，允許用戶登錄n次，那么主機需要計算出Fn(x)，并保存該值，其中F為一個單向函數(shù)。用戶第一次登錄時，需提供Fn-1(x)。系統(tǒng)計算Fn(Fn-1(x)，并驗證是否等于Fn(x)。如果通過則重新存儲Fn-1(x)。下次登錄時

13、，則驗證Fn-2(x)，依此類推。挑戰(zhàn)/響應(yīng)機制的一種實現(xiàn)15.4.2 口令序列機制為方便用戶使用，主機把Fn-1(x)F1（x）計算出來，編成短語打印在紙條上。用戶只需按順序使用這些口令登錄即可。紙條一定要保管好，不可遺失。由于n有限，用戶用完這些口令后，需重新生成新口令序列。只支持服務(wù)器對用戶的單方面認(rèn)證，無法防范假冒的服務(wù)器欺騙合法用戶。當(dāng)?shù)颠f減為0或用戶的口令泄露后必須對S/key系統(tǒng)重新進(jìn)行初始化。說明缺點15.4.3 時間同步機制-流程口令輸入客戶端傳給服務(wù)器進(jìn)行認(rèn)證用戶登陸，啟動令牌當(dāng)前的一次性口令認(rèn)證結(jié)果顯示認(rèn)證結(jié)果15.4.3 時間同步機制-優(yōu)缺點缺點優(yōu)點用戶使用簡單、方

14、便精度要求比較高一次認(rèn)證通信量小，通信效率高服務(wù)器的計算量不是很大設(shè)計成本高 15.4.4 事件同步機制-流程一個口令觸發(fā)令牌上的按鈕一個口令認(rèn)證結(jié)果Counter加一和預(yù)先注入的Key一起生成一個口令找到對應(yīng)的Key和Counter，運算匹配，返回結(jié)果，匹配則counter加115.4.4 事件同步機制-重同步方法用戶和服務(wù)器很容易失去同步解決：設(shè)置窗口值ewindow令牌Counter遠(yuǎn)遠(yuǎn)超前于服務(wù)器Counter，靠窗口值rwindow重同步令牌計數(shù)器超出ewindow范圍啟用rwindow機制超過rwindow則只能去注冊中心辦理重同步業(yè)務(wù)缺點優(yōu)點用戶操作簡單服務(wù)器計算量稍大一次認(rèn)證過

15、程通信量小可以防止小數(shù)攻擊系統(tǒng)實現(xiàn)較簡單，對時鐘精度沒要求15.4.4 事件同步機制-優(yōu)缺點15.4.5 幾種一次性口令實現(xiàn)機制的比較時間同步和事件同步的優(yōu)勢比較明顯，目前市場上很多公司的產(chǎn)品采用的大都是基于時間同步和事件同步的方案。較大較簡單較差較大較大較簡單較差較大較小較復(fù)雜較好較小較小較簡單較好適中第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 15.5.1 簡介 基于證書比基于口令的認(rèn)證機制更安全?；谧C書的認(rèn)證基于用戶擁有什么東西，而基于口令的認(rèn)證基于用戶知道什么東西。存在的主要問題

16、：濫用別人的證書解決的方法：雙因子認(rèn)證，證書+口令15.5.2 基于證書認(rèn)證的工作原理數(shù)字證書的生成、存儲與發(fā)布過程CA為每個用戶生成數(shù)字證書，將其發(fā)給相應(yīng)的用戶。數(shù)據(jù)庫存儲證書的副本，便于用戶登錄時驗證用戶的證書。Step 115.5.2 基于證書認(rèn)證的工作原理登錄請求登錄服務(wù)器時，用戶發(fā)送用戶名和數(shù)字證書至服務(wù)器。Step 215.5.2 基于證書認(rèn)證的工作原理服務(wù)器收到登錄請求，首先驗證證書，檢查用戶是否有效。若有效，則調(diào)用偽隨機數(shù)生成程序，生成一個隨機挑戰(zhàn)值。服務(wù)器將隨機挑戰(zhàn)值以明文形式傳送到用戶計算機。隨機挑戰(zhàn)值生成程序Step 315.5.2 基于證書認(rèn)證的工作原理輸入正確的口令打

17、開私鑰文件用戶計算簽名Step 415.5.2 基于證書認(rèn)證的工作原理服務(wù)器的用戶認(rèn)證程序從用戶數(shù)據(jù)庫取得用戶公鑰；服務(wù)器用用戶的公鑰驗證此簽名，并恢復(fù)出挑戰(zhàn)值的雜湊值；服務(wù)器將這兩個隨機挑戰(zhàn)值進(jìn)行比較。服務(wù)器在收到用戶簽名后，立即對簽名進(jìn)行驗證15.5.2 基于證書認(rèn)證的工作原理根據(jù)上述驗證是否通過，服務(wù)器向用戶返回相應(yīng)的消息，以通知用戶認(rèn)證是否成功。此后，用戶可使用網(wǎng)上銀行業(yè)務(wù)開始電子商務(wù)活動。Step 5第15章 身份認(rèn)證口令認(rèn)證系統(tǒng)二三 四身份認(rèn)證系統(tǒng)的組成和要求一五基于證書的認(rèn)證個人生物特征的身份認(rèn)證技術(shù)一次性口令認(rèn)證技術(shù) 一六 智能卡技術(shù)及應(yīng)用 15.6.1 智能卡技術(shù)概述令牌磁卡

18、智能卡（IC卡）嵌有磁條的塑卡數(shù)據(jù)易于被轉(zhuǎn)錄智能卡將微處理器芯片嵌在塑卡上代替無源存儲磁條，安全性比無源卡有了很大提高。ID卡15.6.2 智能卡的工作原理框圖15.6.3 智能卡的設(shè)計軟/硬件邏輯的格式化寫入系統(tǒng)和個人信息在卡上印制名稱、照片智能卡發(fā)行時都要經(jīng)過個人化（Personalization）或初始化（Initialization）階段。芯片的安全技術(shù)卡片的安全制造技術(shù)軟件的安全技術(shù)安全密碼算法安全可靠協(xié)議的設(shè)計管理系統(tǒng)的安全設(shè)計智能卡防復(fù)制、防偽造15.6.4 智能卡的應(yīng)用電子貨幣、電子商務(wù)勞動保險、醫(yī)療衛(wèi)生銀行系統(tǒng)在付費電視系統(tǒng)制作電子護(hù)照、二代身份證、公交一卡通、校園一卡通、電